10月15日から16日にかけて、国の機関が出した情報から、情シスに関係する6件をまとめました。JPCERT/CCとIPAが運営する脆弱性情報サイトJVNには、Siemens製品の10月の更新と、米国CISAの産業用制御システムの注意喚起のまとめが載りました。TLSライブラリの名前制約の問題や、スマホアプリ3本の脆弱性も公表されています。
機関ごとのまとめ
JPCERT/CC・IPA(JVN)
Siemens製品の10月の更新(新規18件)。 JVNは、Siemensが10月に出したセキュリティアドバイザリを、1本のまとめとして掲載しました(10月14日公開・16日更新)。新規は18件で、制御装置SIMATIC S7でアクセスの属性が守られない問題、SIMATIC IPCに埋め込まれた鍵、ビル管理のAPOGEE・TALON・Desigoの複数の脆弱性などを含みます。工場やビルの設備を持つ会社は、設備の担当部署と対象の製品を確かめます。詳しくはSiemens製品に10月の多数のセキュリティ更新 工場で制御系(OT)を使う会社は確認をにまとめています。
米国CISAの産業用制御システム・医療機器の注意喚起(新規5件)。 JVNは、CISAが10月15日に出した注意喚起をまとめて掲載しました(10月16日)。新規はCISA Malcolm、Eclipse Milo、EseeCloud、Thermo FisherのTorrent Suite、J4Careのdcm4cheの5件で、Red LionのN-Tron 700シリーズの1件が更新されています。中身はCISA、産業・医療の脆弱性情報6件 防犯カメラは修正なし、医療画像は設定も確認で取り上げました。
TLSライブラリが証明書の「名前制約」を守らない場合がある問題(2件)。 CERT/CCが10月14日に出した2本の注意情報を、JVNが10月15日に掲載しました。名前制約は、下位の認証局が発行できる名前の範囲を決める仕組みです。GoogleのBoringSSLについての5件は、2件が修正済みで、ほかは受け入れ・異議・見送りと扱いが分かれています。複数のTLSライブラリについての13件は、同じ名前を、あるライブラリは受け入れ、別のライブラリは拒む、という食い違いをまとめたもので、修正済み・確認中・セキュリティの問題として受け入れられなかったものに分かれます。社内の認証局(プライベートCA)で名前制約を使っている会社は、使っているライブラリの対応を確かめます。
スマホアプリ3本の脆弱性。 JVNが10月15日に、次の3本の脆弱性を公表しました。いずれも最新版への更新が対策です。
- 「Creema(クリーマ)」: 意図しないサイトへ移される(オープンリダイレクト)おそれ(CVE-2026-72528)。Android版2.436.0より前と、iOS版2.432.0より前が対象です。
- 「ゲオアプリ」: アプリの中のブラウザで任意のサイトを開かされたり、パスワードを盗まれたりするおそれ(CVE-2026-96614・CVE-2026-105271)。Ver 11.8.6以前が対象です。
- 国土交通省の「車検証閲覧アプリ」: 事業者向けのAPI連携で使うアクセスIDとアクセスキーが漏れるおそれ(CVE-2026-75559)。ver.6.2.0以前が対象です。国土交通省はAPIを使う事業者に新しいアクセスIDとキーを発行するなどの対応をしており、JVNは、この脆弱性は悪用できないとしています。
OSSのLLM基盤「Bisheng」の認証回避。 CERT/CCが公表した3件の脆弱性を、JVNが10月15日に掲載しました。1件は認証なしで管理者権限を奪える問題で、修正版がありません。詳しくはOSSのLLM基盤「Bisheng」に認証回避の脆弱性 一部は未修正・ベンダー未応答にまとめています。
JPCERT/CC
週報(10月15日号)。 10月4日から10日に得た重要な情報18件をまとめた週報で、1件目にDrupalの複数のモジュールの脆弱性を挙げました。ほかに、Splunk・Cisco・Veeam Backup & Replication・WordPress・SonicWall・Atlassian・MikroTik RouterOS・Citrix NetScalerなどが並び、国内組織への不正アクセスに関する注意喚起も載っています。Drupalの件はDrupalの拡張モジュール26件に脆弱性 10月7日の告知と直った版で取り上げました。
